El marco de gobernanza de datos de Arabia Saudí es el reglamento que rige los datos personales, el intercambio de datos entre organismos públicos, las transferencias transfronterizas y el cumplimiento normativo en la era de la inteligencia artificial en el Reino. Se sustenta en la Ley de Protección de Datos Personales (PDPL) y está supervisado por la SDAIA, lo que vincula la protección de la privacidad con la economía digital que persigue la Visión 2030.
La Ley de Protección de Datos Personales
La PDPL es la piedra angular de la gobernanza de datos saudí. La ley establece un régimen integral que regula la recogida, el tratamiento, el almacenamiento, la transferencia y la destrucción de datos personales por parte de entidades públicas y privadas que operan en el Reino o que tratan datos personales de residentes saudíes. Su estructura se apoya en principios internacionales de protección de datos, entre ellos los recogidos en el Reglamento General de Protección de Datos (RGPD) de la Unión Europea, e incorpora disposiciones adaptadas al contexto jurídico e institucional saudí.
Entre las disposiciones clave de la PDPL figura la exigencia de una base jurídica para el tratamiento de datos, con el consentimiento como mecanismo principal, junto a excepciones concretas por necesidad contractual, intereses vitales, obligaciones legales e intereses legítimos. Los interesados disponen de derechos como el acceso a sus datos personales, la rectificación de inexactitudes, la supresión de los datos que ya no son necesarios para su finalidad original y el derecho a retirar el consentimiento. Los responsables del tratamiento deben aplicar medidas técnicas y organizativas adecuadas para proteger los datos personales frente al acceso, la divulgación, la alteración o la destrucción no autorizados.
La PDPL impone obligaciones de notificación de brechas de datos: los responsables deben avisar a la autoridad competente y, en determinadas circunstancias, a los interesados afectados dentro de unos plazos definidos tras detectar la brecha. La ley también regula las transferencias transfronterizas de datos y fija las condiciones en las que los datos personales pueden transferirse fuera del Reino, incluidas las evaluaciones de adecuación del nivel de protección de datos de la jurisdicción de destino.
El papel regulador de la SDAIA
La Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA) se creó en 2019 con un amplio mandato que abarca la gobernanza nacional de datos, la estrategia de inteligencia artificial y el desarrollo de la economía saudí basada en los datos. Su función reguladora en el marco de la PDPL incluye dictar reglamentos de desarrollo, documentos de orientación y normas sectoriales; supervisar el cumplimiento; investigar reclamaciones, e imponer sanciones por infracciones.
El encaje institucional de la SDAIA refleja la convicción del Gobierno saudí de que la gobernanza de datos y la inteligencia artificial están indisolublemente ligadas. Su doble mandato le permite equilibrar los imperativos de la protección de datos con el fomento del aprovechamiento de los datos en beneficio económico y social, incluido el desarrollo de aplicaciones de IA que dependen del acceso a conjuntos de datos de alta calidad. Este enfoque integrado evita la fragmentación que puede producirse cuando las funciones de protección de datos y de innovación con datos residen en instituciones distintas.
La autoridad ha publicado una serie de reglamentos de desarrollo, directrices y marcos de cumplimiento que concretan las disposiciones generales de la PDPL. Entre ellos figuran orientaciones detalladas sobre los mecanismos de consentimiento, las evaluaciones de impacto relativas a la protección de datos, los mecanismos de transferencia de datos y los requisitos sectoriales para las actividades de tratamiento de alto riesgo, como los datos de salud, los datos financieros y los datos biométricos.
Requisitos de cumplimiento
Cumplir con el marco de gobernanza de datos saudí impone obligaciones considerables a las organizaciones que operan en el Reino. Las entidades que tratan datos personales deben nombrar delegados de protección de datos en los supuestos que definen los reglamentos de desarrollo, llevar un registro de las actividades de tratamiento, realizar evaluaciones de impacto para las operaciones de alto riesgo y aplicar salvaguardas técnicas como el cifrado, los controles de acceso y el registro de auditoría.
El alcance extraterritorial de la PDPL extiende las obligaciones a las entidades situadas fuera de Arabia Saudí que tratan datos personales de residentes saudíes, una disposición que alinea la ley con la tendencia mundial a reivindicar competencia jurisdiccional sobre los encargados extranjeros del tratamiento. Las empresas internacionales con clientes u operaciones en Arabia Saudí deben evaluar sus obligaciones de cumplimiento conforme a la PDPL y adoptar las medidas oportunas.
Las sanciones por incumplimiento incluyen multas que pueden alcanzar varios millones de riyales saudíes por infracción, con la posibilidad de penas agravadas en caso de infracciones reiteradas o dolosas. El régimen sancionador está concebido para lograr un efecto disuasorio real, sin renunciar a la proporcionalidad respecto a la naturaleza y la gravedad de la infracción.
Localización de datos y transferencias transfronterizas
La localización de datos es una dimensión relevante del marco saudí. La PDPL y sus reglamentos de desarrollo fijan las condiciones para transferir datos personales fuera del Reino, en las que confluyen consideraciones de seguridad nacional y soberanía junto a la protección de la privacidad individual. Las transferencias se permiten a jurisdicciones que ofrezcan niveles adecuados de protección de datos, o mediante el uso de cláusulas contractuales tipo, normas corporativas vinculantes u otros mecanismos de transferencia aprobados.
Los requisitos de localización interactúan con la estrategia más amplia de infraestructura digital del Reino, que ha atraído a grandes proveedores internacionales de servicios en la nube para instalar centros de datos en Arabia Saudí. La disponibilidad de infraestructura de nube nacional permite a las organizaciones cumplir con los requisitos de localización mientras aprovechan las plataformas tecnológicas globales, un avance que han impulsado activamente la SDAIA y la Comisión de Comunicaciones, Espacio y Tecnología (CST).
Datos abiertos e intercambio de datos públicos
El marco de gobernanza de datos va más allá de la protección de la privacidad y abarca la gestión de los datos públicos y las iniciativas de datos abiertos. La Política de Datos Abiertos de Arabia Saudí, gestionada por la SDAIA, establece los principios y requisitos para la publicación de conjuntos de datos públicos en formatos legibles por máquina. El portal nacional de datos abiertos da acceso a miles de conjuntos de datos que abarcan estadísticas económicas, información geográfica, datos de salud e indicadores medioambientales, en apoyo de la transparencia, la investigación y la innovación comercial.
Los marcos de intercambio de datos públicos establecen protocolos para el intercambio seguro de información entre organismos públicos y abordan la fragmentación histórica que dificultaba la coordinación interinstitucional. La Oficina Nacional de Gestión de Datos (NDMO), integrada en la SDAIA, fija los estándares de calidad, clasificación y gestión del ciclo de vida de los datos en todo el sector público.
Importancia estratégica
El marco de gobernanza de datos de Arabia Saudí cumple funciones estratégicas que trascienden el mero cumplimiento normativo. Al establecer un régimen creíble de protección de datos, el Reino transmite a las empresas internacionales, las compañías tecnológicas y los inversores que Arabia Saudí ofrece un entorno fiable para las operaciones intensivas en datos. Esa credibilidad es esencial para atraer la inversión extranjera directa en tecnología, servicios financieros y comercio digital que exige la estrategia de diversificación de la Visión 2030.
El marco también favorece el desarrollo de capacidades propias en datos e IA. Unas reglas claras sobre la recogida, el tratamiento y el intercambio de datos permiten a los investigadores, las startups y las empresas consolidadas saudíes desarrollar productos y servicios basados en datos en un entorno jurídico predecible. Las disposiciones de la PDPL sobre el tratamiento de datos por interés público y con fines de investigación abren vías para un aprovechamiento beneficioso de los datos que complementan las disposiciones de protección de la privacidad.